2024年中国金融行业网络安全案例集

~0~ 目录 版权声明3 免责声明3 前言4 一、概述5 （一）主要发现5 （二）建议6 二、金融行业科技发展趋势与安全挑战7 （一）数字化改革深化，新技术的应用带来新威胁7 （二）数据流转加速，数据安全问题迫在眉睫8 （三）业务互联性加深，供应链安全风险不断扩大9 （四）系统规模扩大，迭代频率提升，开发安全的重要性愈发凸显10 （五）法律法规不断完善，合规挑战逐渐增加11 （六）日益复杂的访问，要求更严格的身份和访问管理措施12 （七）金融科技广泛应用，复杂性增强对业务安全提出更高的要求12 （八）业务全球化带来的风险全球化13 三、金融行业网络安全监管处罚分析14 （一）网络安全罚单数量及趋势分析14 （二）网络安全罚单签发机构分析15 （三）被处罚金融机构类型分析16 （四）监管机构重点关注领域分析17 四、金融行业网络安全市场分析19 （一）金融行业网络安全市场规模及增速19 （二）金融行业网络安全市场项目情况分析20 （三）金融行业网络安全项目预算实现率分析22 （四）金融行业网络安全项目地域分布22 （五）金融行业网络安全市场客户分析23 （六）金融行业网络安全典型产品热度指数24 五、金融行业网络安全建设情况25 （一）银行业网络安全市场分析25 （二）保险业网络安全市场分析41 （三）证券业网络安全市场分析49 （四）基金业网络安全市场分析56 六、金融行业网络安全发展趋势展望59 （一）安全技术发展趋势59 （二）安全建设展望62 （三）重点关注领域64 七、金融行业网络安全安全厂商分析76 （一）金融行业网络安全品牌热度分析76 （二）金融行业细分网络安全领域品牌热度词云77 （三）主要网络安全厂商经营概况81 八、金融行业项目案例展示84 （一）安全服务品牌推荐及项目案例84 （二）数据安全品牌推荐及项目案例87 （三）开发安全品牌推荐及项目案例92 （四）零信任品牌推荐及项目案例97 （五）网络资产测绘与攻击面管理品牌推荐及项目案例100 （六）移动安全品牌推荐及项目案例103 （七）威胁管理品牌推荐及项目案例106 （八）网络与基础架构安全品牌推荐与项目案例109 （九）信息技术应用创新数据库品牌推荐及项目案例112 《2024年中国金融行业网络安全市场全景图》（见附件） ~3~ 版权声明 本报告由“数说安全”和《中国信息安全》杂志联合出品（数说安全隶属于北京赛博英杰科技有 限公司，《中国信息安全》杂志隶属于《中国信息安全》杂志社有限公司），报告著作权归北京赛博英杰科技有限公司、《中国信息安全》杂志社有限公司共同所有，报告中所有原创文字、观点、图片、表格均受中国知识产权法律法规保护。转载、摘编或利用其他方式使用本报告内容的，应向所有者双 方取得书面授权，并注明“来源：数说安全、《中国信息安全》杂志”。违反上述使用的，将追究其法律责任。 免责声明 本报告中部分文字和数据采集于公开信息；市场数据通过CSRadar商业分析平台进行统计分析与模型估算获得；企业数据通过公开信息或访谈调研获得。数说安全对报告内容的准确性、完整性和可靠性尽最大努力的追求。由于研究方法和数据样本具有一定局限性，故在任何情况下，本报告中的信息或所表达的观点仅供客户作为参考，不构成任何建议。本公司不对报告的数据及分析结论承担法律责任。 1CSRadar商业分析平台是针对中国网络安全市场的数据可视化分析平台。平台数据源于市场公开招投标的信息，通过深度数据处理，形成质量可靠、分类清晰的中国网络安全市场公开招投标信息数据库。通过对这些数据的深度透视，CSRadar商业分析平台为行业提供全新的视角，以洞察中国网络安全市场的现状和发展趋势。 ~4~ 前言 网络安全一直是国家安全的核心组成部分，特别是在金融行业，金融机构拥有大量的敏感数据， 包括个人信息、交易记录、财务报告等，这些数据的安全直接关系到消费者的利益和金融市场的稳定，因此金融行业在网络安全建设领域一直较为领先。然而，随着金融行业数字化改革的深化，网络安全挑战不断增加，新技术的应用、数据流转加速、金融交易/服务的拓展、信息系统迭代频率提升、第 三方合作的深入、业务全球化的扩张、以及合规政策趋紧等因素，都对金融行业的网络安全提出了更高的要求。 在这样的背景下，“数说安全”与《中国信息安全》杂志一起编写了这份《2024年中国金融行业网络安全研究报告》，通过对金融机构访谈、安全厂商调研、监管处罚内容解读和CSRadar商业分析平台1数据分析，希望了解中国金融行业面临的安全挑战、监管部门的要求与期望、网络安全市场发展情况、网络安全建设现状、安全厂商产品、服务和解决方案能力，并洞察金融行业网络安全发展趋势，帮助金融机构提高网络安全威胁的防范能力，促进安全厂商提升产品、服务和解决方案能力。 一、概述 （一）主要发现 需求侧视角： 金融行业的整体网络安全支出在2023年出现下降，高预算低执行是主要原因。 金融行业的安全体系建设对实战应对能力的要求不断增强，但合规性依然是其核心驱动力。安全体系建设的阶段发生转变，建设重心由采购和建设，向安全运营转移，更关注安全能力的深 度应用和内部整合。 以国有商业银行、股份制银行和个别头部保险公司为代表的头部金融机构，安全合规建设相对完善，目前安全建设的重点根据自身情况各有侧重，其中数据安全和安全运营是关注最多的两个领域。 小规模的各类金融机构，合规仍是主要建设驱动力，常态化的实网攻防演习和攻防演练也促进了他们对场景化安全能力的需求，如外部攻击面管理、零信任访问接入等。 从安全体系建设的方式来看，大规模金融机构的投入大、能力强，更倾向于自研或联合开发。小规模金融机构的安全投入有限、能力较弱，会更灵活地通过购买产品及服务的方式补足安全能力短板。 漏洞管理、数据的安全使用、社工攻击、软件供应链攻击、业务逻辑安全风险是金融机构面临的五大主要安全难题。 数据安全管理平台是当下建设的重点，目的是实现对数据泄漏的发现、防护、溯源和定责。头部金融机构对AI赋能安全的关注度较高，告警的分析收敛是目前最大的需求场景。 量子安全技术在密码领域正进行课题探索和小规模试点，区块链技术的应用逐渐增多。 主要金融机构目前的信创完成度在30%~50%之间，大部分金融机构计划在2027年完成信息化系统的信创改造工作。 监管侧视角： 监管机构的网络安全处罚力度不断加大，银行仍是监管机构最关注的领域，90%的罚单处罚对象是银行。 监管机构对个人信息保护的要求不断增强，相关罚单数量占网络安全罚单总数的70%。此外，最近三年农村金融机构收到的罚单数量明显增多。 金融行业网络安全政策法规的更新和完善速度加快，政策制定者持续关注技术进步的最新动态， 以确保网络安全监督管理能够跟上技术发展的步伐。 引入“行动计划/提升计划”型网络安全政策，通过对未来几年的规划指导和激励措施，引导并激发金融机构更主动地进行网络安全建设。 供给侧视角： 参与金融行业的网络安全厂商约260家。虽然综合型厂商是主要的参与者，但在细分领域能提供扎实的技术、产品和服务的中小型厂商同样具备较强的竞争优势。 安全厂商逐渐通过将“服务”和“产品”打包销售的方式交付客户，以具体应用场景为切入点，帮助客户解决安全问题。 市场视角： 2023年金融行业网络安全甲方支出91.9亿元，约占总体网络安全甲方支出市场的9%，同比下滑12%，增速五年来首度转负。 随着金融行业数字化转型的深入，开放、敏捷、智能成为各大金融机构的建设目标，因此API安全、数据安全、攻击面管理、开发安全等领域的采购项目增速提高。 2023年，金融行业网络安全采购项目预算价格中位数和中标价格中位数的偏差额达到16%，约 12万元，为近四年的最大差额。 （二）建议 网络安全公司负责人： 金融行业因独特的业务特性和严格的监管要求，形成具有明显行业特征的网络安全需求。然而，这些特殊需求往往未能得到完全满足，通常需要在标准产品的基础上进行额外定制，增加了金融机构的安全建设难度。安全厂商需重视“研发流程左移”，在深刻理解金融行业需求的基础上，将这些需求切实转化为有效的产品和解决方案，提升对金融行业的安全交付能力和效率，增强自身的市场竞争力，减少“闭门造车”式的安全研发。 金融行业部署的终端安全防护产品种类多，经常因为设备性能占用过高、不同品牌产品之间冲突引发问题，且难以定责，安全厂商应尽量整合终端安全能力，将终端设备上安全产品的数量减少到2- 3种，并开发整体的终端安全解决方案，降低对设备性能的消耗，避免产品间的冲突。 金融行业网络安全建设早、脚步快，传统的基于合规性的大规模静态被动防御体系建设已经达到顶峰。未来，金融行业将加强动态的主动防御体系建设，并维持较高的投入水平。同时，这些动态防护措施将越来越多地采用服务化模式进行交付，因此，安全厂商应重视新型订阅制和服务化交付产品 或解决方案的模式。 金融行业对网络安全的高标准和对安全产品性能的严要求，使得该行业客户对产品的选择具有独到的见解和深刻的洞察，并愿意为好用的产品买单。目前，市面上很多安全产品（如数据安全、终端安全、供应链安全、零信任等）距离金融客户的要求仍有一定差距，安全厂商应保持开放的态度，学习全球范围内的优秀安全产品及技术，优化安全产品防护能力，提升企业在金融行业的竞争力。 金融机构网络安全负责人： 在过去的网络安全大规模建设阶段，通常会忽视对安全产品内在能力的有效使用。当下，应当深化对现有安全产品的使用，同时，与安全厂商共同开发并实现现有安全产品的定制化功能，以此来提升安全防护效果，实现资源的最优配置，并在一定程度上实现降本增效的目标。 在数据安全领域，大规模金融机构需采取更具前瞻性、系统性和全面性的策略来统筹规划其安全措施。规模较小的金融机构，重点应放在尽快明确数据安全责任人，建立可行的数据安全制度流程，加强数据安全防护措施，并确保这些措施的全面覆盖和有效执行。 在进行网络安全产品或服务采购时，应增加对技术因素的考量权重，避免过多地被短期直接成本影响采购结果。“低价者得”的采购策略虽然在减少初期投入方面有表面优势，但可能会牺牲安全产品和服务的质量，并最终导致整体安全成本的显著增加。 二、金融行业科技发展趋势与安全挑战 （一）数字化改革深化，新技术的应用带来新威胁 随着大数据、云计算、人工智能、区块链等前沿技术的飞速发展，金融科技领域经历了巨大的革新，为传统金融服务赋予了创新动力，极大提升了服务的效率，同时显著降低了成本。根据这些技术的应用程度和融合深度，金融科技的进化历程大致可以分为四个阶段：金融科技1.0——金融信息化、金融科技2.0——互联网金融、金融科技3.0——金融与科技深度融合以及金融科技4.0——金融数字化。 金融科技1.0时代：金融行业开始采用信息技术手段来实现业务流程的电子化、自动化和无纸化操作，有效提高了工作效率并削减成本。例如，POS和ATM设备的普及极大地缩减了银行的日常开支。这一阶段，尽管金融科技在一定程度上优化了工作流程，但其对于既有金融模式的影响还相对有限。 金融科技2.0时代：即互联网金融阶段时，银行业受到移动互联网的巨大冲击和影响，金融机构开始创建线上平台，实现财产、交易、支付、资金等各环节的无缝连接。网络技术的渗透促进了一场 针对传统金融渠道的重大改造，促使了像P2P借贷、在线众筹、网络基金销售等全新财务模式的出现。 金融科技发展至3.0阶段：意味着金融服务与科技实现了深入的结合。在该阶段，传统金融搭配新科技（如大数据、云计算、区块链、人工智能等），重构了信息采集方式、风险定价模式、投资决策流程和信用中介的角色，带来效率的进一步提高，并催生了新型金融行为，包括大数据信用评分、智能投资咨询等。同时，相关政策也为金融科技的进步提供了有力的支持。 金融科技4.0时代：数字金融时代的来临被我们目睹。这一时期，金融服务模式呈现场景化和